Adware.Gexin.9857

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.3.origin

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ser####.dc####.net.cn:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) www.d####.run:8089
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) api.map.b####.com:443
TCP(TLS/1.0) ser####.dc####.net.cn:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5225

Запросы DNS:

api.map.b####.com
c####.g####.ig####.com
c####.g####.ig####.com
c-h####.g####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net
ser####.dc####.net.cn
st####.dc####.net.cn
www.d####.run

Запросы HTTP POST:

c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####
ser####.dc####.net.cn/device/location
www.d####.run:8089/bufeng_recruit_api/advertisement/advertisement/queryA...
www.d####.run:8089/bufeng_recruit_api/mobile/delivery/firstPageList?_mob...
www.d####.run:8089/bufeng_recruit_api/mobile/dict/searchMultiDict?_mobli...
www.d####.run:8089/bufeng_recruit_api/mobile/dict/searchTreeDict?_moblie...

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.imei.txt
/data/data/####/.jg.ic
/data/data/####/05-slides-per-view.html
/data/data/####/H53CBFF7B.xml
/data/data/####/H53CBFF7B_storages.xml
/data/data/####/Login.js
/data/data/####/LoginPwd.js
/data/data/####/_adio.dcloud.feature.ad.a.a.xml
/data/data/####/aboutus.html
/data/data/####/aboutus.js
/data/data/####/address.css
/data/data/####/address.html
/data/data/####/address.js
/data/data/####/address.png
/data/data/####/address1.html
/data/data/####/address2.png
/data/data/####/addressdata4.js
/data/data/####/alreadyRecommendPersion.css
/data/data/####/alreadyRecommendPersion.html
/data/data/####/alreadyrecommendpersion.js
/data/data/####/apiManager.js
/data/data/####/arrow_right.png
/data/data/####/arttmpl.js
/data/data/####/authStatus_com.bufeng.duotuiuser.xml
/data/data/####/banner@2x.png
/data/data/####/bg.png
/data/data/####/bg@2x.png
/data/data/####/bgs@2x.png
/data/data/####/btn_login@2x.png
/data/data/####/btn_yanzheng@2x.png
/data/data/####/candidate.css
/data/data/####/candidate.html
/data/data/####/changePwd.css
/data/data/####/changePwd.html
/data/data/####/changePwd.js
/data/data/####/chat_message.html
/data/data/####/chat_message.js
/data/data/####/city.data-1.js
/data/data/####/city.data-3.js
/data/data/####/clientid_igexin.xml
/data/data/####/close.jpg
/data/data/####/close.png
/data/data/####/collection.png
/data/data/####/commend.css
/data/data/####/comment.html
/data/data/####/comment.js
/data/data/####/common.css
/data/data/####/common.js
/data/data/####/common.util.js
/data/data/####/common_nav_bg.png
/data/data/####/commoncopy.js
/data/data/####/company_adImg.css
/data/data/####/company_adImg.html
/data/data/####/company_adImg.js
/data/data/####/company_logo.png
/data/data/####/complain.html
/data/data/####/complain.js
/data/data/####/complainDetail.html
/data/data/####/complainDetail.js
/data/data/####/complaint.css
/data/data/####/complaint.html
/data/data/####/complaint.js
/data/data/####/conditionSetting.js
/data/data/####/cropper.min.css
/data/data/####/cropper.min.js
/data/data/####/data.js
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/datetime.js
/data/data/####/datetimeutils.js
/data/data/####/dayu_user_guide1.png
/data/data/####/dayu_user_guide2.png
/data/data/####/dayu_user_guide3.png
/data/data/####/dayuuser_logo.png
/data/data/####/dayuuser_logo_share.png
/data/data/####/dc_ad_type_key.xml
/data/data/####/details.css
/data/data/####/details.html
/data/data/####/details.js
/data/data/####/dingwei.png
/data/data/####/disclaimer.html
/data/data/####/docResume.css
/data/data/####/docResume.html
/data/data/####/docResume.js
/data/data/####/edit.png
/data/data/####/eje3cnc
/data/data/####/eleResumeExplain.html
/data/data/####/eleResumeView.html
/data/data/####/exif.js
/data/data/####/feedback.css
/data/data/####/feedback.js
/data/data/####/file__0.localstorage-journal
/data/data/####/followPosition.css
/data/data/####/followPosition.html
/data/data/####/followPosition.js
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/global.css
/data/data/####/guide.html
/data/data/####/gx_sp.xml
/data/data/####/head_img.png
/data/data/####/html5Geo.xml
/data/data/####/huahui.jpg
/data/data/####/i_choose.png
/data/data/####/i_choosed.png
/data/data/####/ic_recommend_time.png
/data/data/####/ic_transparent_bg.png
/data/data/####/iconTime.png
/data/data/####/icon_bangong_no@2x.png
/data/data/####/icon_bangong_se@2x.png
/data/data/####/icon_call.png
/data/data/####/icon_date.png
/data/data/####/icon_fenxiang@2x.png
/data/data/####/icon_guanyu@2x.png
/data/data/####/icon_jiangjin@2x.png
/data/data/####/icon_kehu@2x.png
/data/data/####/icon_me_no@2x.png
/data/data/####/icon_me_se@2x.png
/data/data/####/icon_message.png
/data/data/####/icon_pingyu@2x.png
/data/data/####/icon_qianaolv.png
/data/data/####/icon_qianbao@2x.png
/data/data/####/icon_quan.png
/data/data/####/icon_re@2x.png
/data/data/####/icon_rencaiku@2x.png
/data/data/####/icon_send@2x.png
/data/data/####/icon_shezhi@2x.png
/data/data/####/icon_shouye-se@2x.png
/data/data/####/icon_shouye_no@2x.png
/data/data/####/icon_tianjia@2x.png
/data/data/####/icon_tixian@2x.png
/data/data/####/icon_tousu@2x.png
/data/data/####/icon_tuijian@2x.png
/data/data/####/icon_tuijianjilu@2x.png
/data/data/####/icon_user@2x.png
/data/data/####/icon_write@2x.png
/data/data/####/icon_xiaoxi_no@2x.png
/data/data/####/icon_xiaoxi_se@2x.png
/data/data/####/icon_zhiwei@2x.png
/data/data/####/iconfont.css
/data/data/####/iconfont.eot
/data/data/####/iconfont.js
/data/data/####/iconfont.svg
/data/data/####/iconfont.ttf
/data/data/####/iconfont.woff
/data/data/####/im-chat.css
/data/data/####/im-chat.html
/data/data/####/imageutil.js
/data/data/####/img-load-error.png
/data/data/####/imgCropper.html
/data/data/####/immerse-main.js
/data/data/####/immerse.js
/data/data/####/immerseFull.js
/data/data/####/index
/data/data/####/index-main.css
/data/data/####/index.html
/data/data/####/index_home.css
/data/data/####/index_home.html
/data/data/####/index_home.js
/data/data/####/index_main.html
/data/data/####/index_main.js
/data/data/####/index_mains.css
/data/data/####/index_mains.js
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/input_xuanran.css
/data/data/####/inputdropdown.css
/data/data/####/interviewComments.html
/data/data/####/interviewRecommends.css
/data/data/####/interviewRecommends.js
/data/data/####/jquery-1.11.2.min.js
/data/data/####/jquery-1.7.1.min.js
/data/data/####/jquery.autocomplete.js
/data/data/####/jquery.raty.min.js
/data/data/####/jsfun.js
/data/data/####/layer.css
/data/data/####/layer.js
/data/data/####/legalNotice.html
/data/data/####/libcuid.so
/data/data/####/libjiagu136644469.so
/data/data/####/loadFont.gif
/data/data/####/location.css
/data/data/####/location.html
/data/data/####/logimg.png
/data/data/####/login-bg.png
/data/data/####/login.css
/data/data/####/login.html
/data/data/####/loginPwd.html
/data/data/####/logo.png
/data/data/####/logoP.png
/data/data/####/magic-check.css
/data/data/####/male.png
/data/data/####/manifest.json
/data/data/####/map.css
/data/data/####/map.html
/data/data/####/map.js
/data/data/####/message.css
/data/data/####/moment.min.js
/data/data/####/more_unfold.png
/data/data/####/more_unfold_1.png
/data/data/####/msg_notice.css
/data/data/####/msg_notice.html
/data/data/####/msg_notice.js
/data/data/####/msgnoticedetail.html
/data/data/####/msgnoticedetail.js
/data/data/####/mui.css
/data/data/####/mui.imageViewer.js
/data/data/####/mui.imageviewer.css
/data/data/####/mui.indexedlist.css
/data/data/####/mui.indexedlist.js
/data/data/####/mui.js
/data/data/####/mui.lazyload.img.js
/data/data/####/mui.lazyload.js
/data/data/####/mui.min.css
/data/data/####/mui.min.js
/data/data/####/mui.picker.js
/data/data/####/mui.picker.min.css
/data/data/####/mui.picker.min.js
/data/data/####/mui.poppicker.css
/data/data/####/mui.poppicker.js
/data/data/####/mui.previewimage.css
/data/data/####/mui.previewimage.js
/data/data/####/mui.pullToRefresh.js
/data/data/####/mui.pullToRefresh.material.js
/data/data/####/mui.ttf
/data/data/####/mui.view.js
/data/data/####/mui.zoom.js
/data/data/####/multidex.version.xml
/data/data/####/muwu.jpg
/data/data/####/my.css
/data/data/####/my.html
/data/data/####/my.js
/data/data/####/myCustomer.css
/data/data/####/myCustomer.html
/data/data/####/myCustomer.js
/data/data/####/myPurse.css
/data/data/####/myPurse.html
/data/data/####/myPurse.js
/data/data/####/myPurseDetail.css
/data/data/####/myPurseDetail.html
/data/data/####/myPurseDetail.js.js
/data/data/####/myTalentPool.css
/data/data/####/myTalentPool.html
/data/data/####/myTalentPool.js
/data/data/####/myTalentPoolMy.css
/data/data/####/myTalentPoolNext.css
/data/data/####/myTalentPoolNext.html
/data/data/####/myTalentPoolNext.js
/data/data/####/my_coupon.png
/data/data/####/my_service.png
/data/data/####/mytalentpool.css
/data/data/####/mytalentpool.html
/data/data/####/mytalentpool.js
/data/data/####/nav.css
/data/data/####/news.html
/data/data/####/news.js
/data/data/####/noImage.png
/data/data/####/office-filter.css
/data/data/####/office.css
/data/data/####/office.html
/data/data/####/office.js
/data/data/####/officeDocResume.html
/data/data/####/officeDocResume.js
/data/data/####/officeResumeUpload.html
/data/data/####/officeprefectResume.html
/data/data/####/officeprefectWork.html
/data/data/####/officeprefectproject.js
/data/data/####/officeprefectwork.js
/data/data/####/officeresumeupload.js
/data/data/####/officetalentpool.css
/data/data/####/on_1.png
/data/data/####/on_2.png
/data/data/####/pdr.xml
/data/data/####/personalInfo.css
/data/data/####/personalInfo.html
/data/data/####/personalInfo.js
/data/data/####/popTime.js
/data/data/####/preIncome.html
/data/data/####/preIncome.js
/data/data/####/prefectResume.css
/data/data/####/prefectResume.html
/data/data/####/prefectWork.html
/data/data/####/prefectproject.js
/data/data/####/prefectwork.js
/data/data/####/pullrefresh.css
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/recmytalentpoolFilter.js
/data/data/####/recommend-filter.css
/data/data/####/recommend-filter.js
/data/data/####/recommend.css
/data/data/####/recommend.html
/data/data/####/recommendSuccess.js
/data/data/####/recommend_success.png
/data/data/####/recommendedOver.css
/data/data/####/recommendedOver.html
/data/data/####/recommendedOver.js
/data/data/####/recommendnote.js
/data/data/####/relationshipRecord.css
/data/data/####/relationshipRecord.html
/data/data/####/relationshipRecord.js
/data/data/####/remark.css
/data/data/####/remark.html
/data/data/####/remark.js
/data/data/####/remind.css
/data/data/####/remind.html
/data/data/####/remind.js
/data/data/####/remind.png
/data/data/####/resumeDetail.html
/data/data/####/resumeView.html
/data/data/####/resume_detail.png
/data/data/####/resumedetail.css
/data/data/####/resumedetail.js
/data/data/####/resumepic_sample.png
/data/data/####/resumepic_sample_one.png
/data/data/####/resumepic_sample_three.png
/data/data/####/resumepic_sample_two.png
/data/data/####/resumeview.js
/data/data/####/run.pid
/data/data/####/sc.png
/data/data/####/sc1.png
/data/data/####/schooldata.js
/data/data/####/selPosition.css
/data/data/####/selPosition.html
/data/data/####/selPosition.js
/data/data/####/setPassword.html
/data/data/####/setPassword.js
/data/data/####/setting.css
/data/data/####/setting.html
/data/data/####/setting.js
/data/data/####/shuijiao.jpg
/data/data/####/sorting.css
/data/data/####/sorting.html
/data/data/####/sorting.js
/data/data/####/star-half.png
/data/data/####/star-off.png
/data/data/####/star-on.png
/data/data/####/start_5.png
/data/data/####/start_6.png
/data/data/####/start_6p.png
/data/data/####/start_x.png
/data/data/####/stream_permission.xml
/data/data/####/style.css
/data/data/####/suggest.css
/data/data/####/suggest.html
/data/data/####/suggest.js
/data/data/####/swiper.min.css
/data/data/####/swiper.min.js
/data/data/####/test_app
/data/data/####/testone.html
/data/data/####/testtwo.html
/data/data/####/timg.gif
/data/data/####/trackRecord.css
/data/data/####/trackRecord.html
/data/data/####/trackRecord.js
/data/data/####/tracklog.css
/data/data/####/tracklog.html
/data/data/####/tracklog.js
/data/data/####/unkownHeadImg.png
/data/data/####/upload.css
/data/data/####/upload.html
/data/data/####/upload.js
/data/data/####/uploadImg.js
/data/data/####/uploadSuccess.css
/data/data/####/uploadSuccess.html
/data/data/####/uploadSuccess.js
/data/data/####/uploadSuccess.png
/data/data/####/user_guest.png
/data/data/####/util.js
/data/data/####/versionUpgrade.html
/data/data/####/versionUpgrade.js
/data/data/####/wd_bg.png
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/data/####/widthdrawMoney.css
/data/data/####/widthdrawMoney.html
/data/data/####/widthdrawMoney.js
/data/data/####/workandproject.css
/data/data/####/yuantiao.jpg
/data/media/####/.cuid
/data/media/####/.cuid2
/data/media/####/.imei.txt
/data/media/####/AdEnable.dat
/data/media/####/app.db
/data/media/####/com.bufeng.duotuiuser.bin
/data/media/####/com.bufeng.duotuiuser.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/test.log

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 25155 300 0
chmod 700 <Package Folder>/files/gdaemon_20161017

Загружает динамические библиотеки:

BaiduMapSDK_base_v4_3_1
getuiext2
libjiagu136644469

Использует следующие алгоритмы для шифрования данных:

AES-CBC-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-CBC-PKCS5Padding
RSA-ECB-PKCS1Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Получает информацию о запущенных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней